Ziekenhuizen kunnen onbedoeld vertrouwelijke patiëntgegevens lekken en de veiligheid van patiënten in gevaar brengen als ze van een semafoon (pieper/pager) gebruikmaken, zo stelt beveiligingsbedrijf Trend Micro, dat met zeer goedkope apparatuur de gegevens van tienduizenden patiënten kon opvangen.

Waar Trend Micro het onderzoek precies uitvoerde wordt niet duidelijk uit het rapport (pdf), maar het probleem van onbeveiligde informatie die via semafoons wordt uitgewisseld zou vooral in de Verenigde Staten spelen. Hoewel mobiele telefoons de semafoon inmiddels hebben vervangen, zijn er nog steeds sectoren die van het apparaatje gebruikmaken, waaronder de gezondheidssector, zoals ziekenhuizen.

De berichten die via semafoons worden uitgewisseld zijn onversleuteld en kunnen op afstanden van tientallen kilometers worden opgevangen. Daardoor kunnen ook derde partijen de berichten bekijken. Het enige dat volstaat is enige kennis van een software-defined radio (SDR) en het aanschaffen van een dongel van rond de 20 euro. Gedurende drie maanden wisten de onderzoekers op deze manier bijna 55 miljoen berichten te onderscheppen. Meer dan 2 miljoen waren van ziekenhuizen afkomstig. Het gaat om berichten met e-mailadressen, medische termen, namen van patiënt, afdelingen waar de patiënt werd behandeld, leeftijd, medicatie en diagnoses.

Niet alleen is de privacy in het geding, ook de patiëntveiligheid loopt risico. Het is namelijk mogelijk voor een aanvaller om semafoonberichten te kapen en te vervalsen. Een aanvaller kan zo de medicatie van een patiënt aanpassen, de patiënt naar een andere afdeling laten overbrengen, de identiteit van een overledene stelen, de noodsituatie in een gebouw verklaren en andere soorten spoofingaanvallen uitvoeren. Ziekenhuizen krijgen dan ook het advies om berichten te versleutelen en berichtensystemen te gebruiken waarbij de afzender kan worden gecontroleerd.